将Laravel护照access_token从Laravel刀片服务器传递到React组件的最安全方法

Question

我正在使用ReactJS和Laravel构建聊天应用程序，我们正在使用Laravel Echo。 API需要对access_token进行身份验证，因此我们需要在组件中传递access_token。

如何安全地进行？

Answer 1

access_token可以由Laravel Passport（LP）生成。由于LP只是与PHP League OAuth 2的集成，因此默认情况下会发布JSON Web令牌（JWT）。这些令牌非常安全地存储在客户端。

如果您选中documentation，则可以为用户生成令牌，而无需执行正常的OAuth 2流程。

使用浏览器的LocalStorage，您可以存储此令牌以备将来使用。

Answer 2

后端应具有所有api键。假设发送到前端的任何内容都可以并且将被复制以在其他地方使用。

我强烈建议您使用JWT（json网络令牌）来处理身份验证，并代表身份验证的用户在后端进行所有此类api调用。理想情况下，检查用户是否有权这样做。